อัปเดตล่าสุด: 28 ต.ค. 2569 00:00
ข้อตกลงการประมวลผลข้อมูลฉบับนี้ ("DPA") ถือเป็นส่วนหนึ่งของข้อตกลงการสมัครใช้บริการหลัก ("Agreement") ระหว่าง ProcureLabs Pte. Ltd. ("Processor") และนิติบุคคลที่สมัครใช้บริการของ ProcureLabs ("Controller") คำศัพท์ที่ไม่ได้กำหนดไว้ในที่นี้ให้มีความหมายตามที่ระบุไว้ใน Agreement หรือ Regulation (EU) 2016/679 ("GDPR")
Processor จะประมวลผลข้อมูลส่วนบุคคล solely เพื่อให้บริการแพลตฟอร์มข้อมูลเชิงลึกด้านการจัดซื้อของ ProcureLabs ตามที่อธิบายไว้ใน Agreement ประเภทของเจ้าของข้อมูลรวมถึงพนักงาน ที่ปรึกษา และผู้ใช้ที่ได้รับอนุญาตของ Controller ประเภทของข้อมูลส่วนบุคคลรวมถึงชื่อ ที่อยู่อีเมล ตำแหน่งงาน บทบาทในองค์กร ที่อยู่ IP และข้อมูลวิเคราะห์การใช้งาน
ผู้ควบคุมข้อมูลอนุญาตโดยทั่วไปให้ผู้ประมวลผลข้อมูลว่าจ้างผู้ประมวลผลข้อมูลช่วงต่อที่ระบุไว้ด้านล่าง ผู้ประมวลผลข้อมูลต้องแจ้งผู้ควบคุมข้อมูลล่วงหน้าอย่างน้อย 30 วันก่อนเพิ่มหรือเปลี่ยนผู้ประมวลผลข้อมูลช่วงต่อ
The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.
| ผู้ประมวลผลช่วงต่อ | วัตถุประสงค์ | ที่ตั้ง |
|---|---|---|
| DocuSeal LLC | Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents. | Vendor agreement: EU hosting (AWS Ireland); overseas support access and identified non-EEA subprocessors permitted under vendor terms |
| DocuSign | การลงนามสัญญาและ NDA ทางอิเล็กทรอนิกส์โดยเลือกใช้ได้ | ภูมิภาคบัญชีที่กำหนดค่าไว้ ข้อมูลธุรกรรมอาจได้รับการประมวลผลข้ามภูมิภาค |
| Amazon Web Services (AWS) | โฮสติ้งคลาวด์และโครงสร้างพื้นฐานAmazon Bedrock ทำงานเป็นเส้นทาง Claude หลักสำหรับเวิร์กโหลด AI ที่ได้รับอนุญาต | การประมวลผลหลักของแอปพลิเคชัน: สิงคโปร์ (ap-southeast-1) การอนุมานผ่าน Bedrock ที่ใช้งานอยู่: โปรไฟล์ภูมิภาค EU ผ่านไอร์แลนด์ โดยดำเนินการภายในภูมิภาค EU ตามที่ระบุในโปรไฟล์ การอนุมาน AI แยกจากการโฮสต์ในสิงคโปร์ |
| Microsoft (Azure OpenAI) | เส้นทางหลักที่กำหนดค่าสำหรับแชต GPT และการทำ text embedding ที่ได้รับอนุญาต ใช้การเก็บรักษาข้อมูลตามมาตรฐานเพื่อการตรวจสอบการใช้งานที่ไม่เหมาะสม ยังไม่ได้อนุมัติการตรวจสอบแบบปรับเปลี่ยนและการเก็บข้อมูลเป็นศูนย์ | สหภาพยุโรป: ทรัพยากร Sweden Central และการอนุมานระดับภูมิภาคและ EU Data Zone ทั้งข้อกำหนดบริการและการสนับสนุนของผู้ให้บริการมีผลบังคับใช้ด้วย |
| Supabase Inc. | ฐานข้อมูลและการยืนยันตัวตน | สิงคโปร์ (AWS ap-southeast-1) |
| Stripe Inc. | การประมวลผลการชำระเงิน | สหรัฐอเมริกา |
| Anthropic PBC | การประมวลผลโมเดลภาษาปัญญาประดิษฐ์ | สหรัฐอเมริกา |
| OpenAI Inc. | การประมวลผลโมเดลภาษาปัญญาประดิษฐ์ | ภูมิภาคการประมวลผลของบัญชีและโครงการ: ต้องตรวจสอบก่อนใช้งาน |
| Google LLC | การประมวลผลโมเดลภาษาปัญญาประดิษฐ์ (Gemini) การวิเคราะห์เว็บไซต์เมื่อได้รับความยินยอม และการจัดการคีย์โดยเลือกใช้ได้ | สหรัฐอเมริกา |
| Inngest Inc. | การจัดการงานเบื้องหลัง | สหรัฐอเมริกา |
| Sentry Inc. | การตรวจสอบข้อผิดพลาด | สหรัฐอเมริกา |
| Resend Inc. | การส่งอีเมลธุรกรรม | สหรัฐอเมริกา |
ยังไม่ได้ยืนยันการอนุมัติการเชื่อมต่อ DocuSign สำหรับระบบจริงและข้อตกลงการคุ้มครองข้อมูลที่เกี่ยวข้อง โปรดยืนยันภูมิภาคของบัญชีผู้ส่งก่อนเปิดใช้ตัวเลือกการลงนามนี้
ข้อมูลปัจจุบัน ณ วันที่ระบุข้างต้น ดูรายชื่อล่าสุดได้ที่ /subprocessors
OpenAI รองรับการสนทนา การวิเคราะห์ และการประเมินแบบจำกัดของ Decisions สำหรับการเลือกเครื่องมือและหลักฐานการจัดซื้อ ภายใต้การอนุญาตปัจจุบันของลูกค้าและการกำหนดค่าภูมิภาคที่ตกลงกัน Decisions รับบริบทและคำถามที่ลดข้อมูลให้เหลือน้อยที่สุดและปกปิดข้อมูลอ่อนไหวเพื่อวัตถุประสงค์ที่ได้รับอนุญาต ข้อมูล OpenAI API จะใช้ฝึกโมเดลต่อเมื่อเลือกเข้าร่วมอย่างชัดแจ้งเท่านั้น Decisions อาจเก็บสถานะแคชพรอมป์ต์ที่เข้ารหัสไว้ได้สูงสุด 24 ชั่วโมง และบันทึกการตรวจสอบการใช้งานในทางที่ผิดตามมาตรฐานได้สูงสุด 30 วัน โดยอยู่ภายใต้ข้อยกเว้นด้านความมั่นคงปลอดภัย ความปลอดภัย หรือกฎหมายที่ใช้บังคับ
การประมวลผลของ Decisions ต้องมีคำสั่งปัจจุบันจากลูกค้าและการอนุญาตสำหรับวัตถุประสงค์ บัญชี ผู้ประมวลผล และการโอนข้อมูลไปยังสหรัฐฯ ที่ระบุ การปิด AI หรือถอนอำนาจอนุญาตที่เกี่ยวข้องจะป้องกันคำขอ Decisions ใหม่ การดำเนินการที่มีผลกระทบยังคงอยู่ภายใต้มาตรการคุ้มครองที่จำเป็นและการตรวจสอบโดยอิสระ
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
เมื่อมีการโอนข้อมูลส่วนบุคคลออกนอกเขตเศรษฐกิจยุโรป ผู้ประมวลผลข้อมูลต้องทำให้มั่นใจว่ามีมาตรการคุ้มครองที่เพียงพอ รวมถึง: (a) ข้อสัญญามาตรฐานของสหภาพยุโรป (โมดูล 2: ผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล) ตามที่ได้รับอนุมัติโดยคำวินิจฉัยเพื่อการดำเนินการของคณะกรรมาธิการ (EU) 2021/914; (b) กฎเกณฑ์ขององค์กรที่มีผลผูกพันเมื่อมีผลใช้บังคับ; หรือ (c) การโอนไปยังประเทศที่คณะกรรมาธิการยุโรปมีคำวินิจฉัยว่ามีระดับการคุ้มครองที่เพียงพอ
ผู้ประมวลผลข้อมูลต้องแจ้งผู้ควบคุมข้อมูลโดยไม่ล่าช้าเกินควร และไม่ว่าในกรณีใดต้องแจ้งภายใน 72 ชั่วโมงหลังทราบถึงการละเมิดข้อมูลส่วนบุคคล การแจ้งต้องประกอบด้วย: (a) ลักษณะของการละเมิด รวมถึงจำนวนเจ้าของข้อมูลที่ได้รับผลกระทบโดยประมาณ; (b) ผลที่อาจเกิดขึ้นจากการละเมิด; (c) มาตรการที่ดำเนินการหรือเสนอให้ดำเนินการเพื่อจัดการกับการละเมิด; (d) ข้อมูลติดต่อของผู้ประสานงานด้านการคุ้มครองข้อมูลของผู้ประมวลผลข้อมูล
Processor จะช่วยเหลือ Controller ในการปฏิบัติตามหน้าที่ตอบคำขอของเจ้าของข้อมูลภายใน 30 วันตามปฏิทิน แพลตฟอร์มมีความสามารถในการส่งออกข้อมูลและลบบัญชีด้วยตนเอง (Settings > Account) รวมถึงความสามารถในการตรวจสอบการเข้าถึง
Controller อาจตรวจสอบการปฏิบัติตาม DPA นี้ของ Processor ได้ไม่เกินปีละหนึ่งครั้ง โดยแจ้งเป็นลายลักษณ์อักษรล่วงหน้า 30 วัน Processor จะจัดเตรียมรายงานการปฏิบัติตามข้อกำหนด ใบรับรอง และสรุปการตรวจสอบโดยบุคคลที่สามที่เกี่ยวข้อง การตรวจสอบระยะไกลเป็นรูปแบบที่ต้องการ ส่วนการตรวจสอบ ณ สถานที่จะดำเนินการโดย Controller เป็นผู้รับผิดชอบค่าใช้จ่าย
DPA นี้จะมีผลตลอดระยะเวลาของ Agreement เมื่อสิ้นสุด Agreement Processor จะส่งคืนหรือลบข้อมูลส่วนบุคคลทั้งหมดภายใน 30 วัน ตามที่ Controller เลือก การลบเมื่อสิ้นสุดบริการดำเนินการโดยเจ้าหน้าที่ของ Processor ตามคำสั่งเป็นลายลักษณ์อักษรของ Controller ไม่ใช่กระบวนการอัตโนมัติในแพลตฟอร์ม จะจัดเตรียมหนังสือรับรองการลบเมื่อร้องขอ
ลูกค้าองค์กรสามารถขอ DPA ที่ลงนามร่วมกันได้โดยติดต่อ support@procure-labs.com โดยทั่วไปเราจะส่งคืน DPA ที่ลงนามแล้วภายใน 2 วันทำการ